1/12 Expediente Nº: PS/00496/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 17 de mayo de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra Working Capital Management España, S.L. con NIF B86878121 (en adelante, la parte reclamada o WCM). Los motivos en que basa la reclamación son los siguientes. El reclamante manifiesta que ha tenido conocimiento de la inclusión de sus datos personales en sistemas comunes de información crediticia por parte de la entidad reclamada, empresa con la que nunca ha realizado contratación alguna. Añade, que dicha inclusión fue motivada por el impago de un préstamo a NBQ Technology, S.A.U. (en lo sucesivo NBQ), que no contrató, por lo que expone que ha sido víctima de suplantación de identidad. Por otra parte, señala que le informa NBQ que el crédito fue cedido el 23 de diciembre de 2020 a la entidad Quartz Capital Fund S.C.A., siendo Working Capital Management España, S.L. el encargado del tratamiento, no teniendo constancia de haber recibido ningún tipo de comunicación al respecto. Y, aporta, para justificar los hechos, la siguiente documentación: - Denuncia efectuada ante la policía el 23 de diciembre de 2020, en relación con la suplantación de identidad para la contratación de un préstamo. - Denuncia efectuada ante la policía por el robo de su cartera, del año 2018. - Solicitud de supresión dirigida a la parte reclamada de fecha 22 de marzo de 2021 y acuse de recibo del día 30 del mismo mes y año. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 15 de julio de 2021 se recibe en esta Agencia escrito de respuesta manifestando que adjuntan como Anexo I, una copia del escrito de contestación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 enviado el 15 de julio de 2021 al interesado, vía email, que es la que consta en el “contrato de préstamo”, que se adjunta como Anexo IV. Que WCM no puede informar de las causas que motivaron originariamente la reclamación, sin perjuicio de que se estime que ésta podría estar en la no conexión del interesado entre el acreedor originario NBQ y el acreedor cesionario; esto es, WCM, a pesar de que ello se habría puesto en su conocimiento, con ocasión de la adquisición de la mencionada deuda (Anexos IV, V y VI). Que WCM está dotada de convenientes procedimientos para atender el ejercicio de derechos de cualquier interesado, tal y como establece el ordenamiento jurídico. (Adjuntan dicho procedimiento Anexo II). TERCERO: Con fecha 6 de octubre de 2021 la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 19 de noviembre de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba: “que la cesión de los datos personales del deudor (el reclamante en este caso), que se produjo como consecuencia de la cesión de créditos, no requirió del previo consentimiento del deudor como titular de sus datos personales, toda vez que la normativa con rango de Ley que regula la cesión de los créditos establece claramente que el consentimiento del deudor no es necesario para la valida transmisión de un crédito (ni tampoco su conocimiento, sin perjuicio del efecto liberatorio en los pagos), debiendo dicha cesión de datos también reputarse válida al amparo del artículo 8.1 del RGD. Cabe alegar adicionalmente el amparo que para mi empresa establece el vigente art. 21 de la LOPDGDD. Igualmente entendemos que existe otra razón que legítima la cesión de datos personales en una cesión de crédito, y no es otra que la existencia de un interés legítimo (artículo 6.1.
- f)del RGPD). En relación con la inclusión de los datos personales del reclamante (el deudor, en este caso) en sistemas comunes de información crediticia, esta Agencia atribuye erróneamente a mi empresa la autoría de tal inclusión, así como su mantenimiento negligente en tales sistemas. Por un lado, como se puede comprobar en la certificación que se adjunta NBQ procede a dar de alta el dato en el fichero Asnef con fecha 06/02/2020. Posteriormente se produce un cambio de cartera a favor de la entidad Working con fecha 23/12/2020. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 En consecuencia, a mi empresa no se le puede atribuir la autoría ni la solicitud de la inscripción de la deuda y deudor (la persona del reclamante). Por otro, como se puede comprobar en la certificación que se adjunta al presente escrito de alegaciones, emitida también en fecha 30 de noviembre de 2021 por Equifax, no aparecen datos informados por Working, cuya fecha de baja fue 25/05/2021” QUINTO: Con fecha 10 de enero de 2022, se inició el período de práctica de pruebas, acordándose: 1. Dar por reproducidos a efectos probatorios la denuncia interpuesta por el reclamante y su documentación, los documentos obtenidos y generados que forman parte del expediente y 2. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del PS/00496/2021, presentadas por la entidad denunciada. SEXTO: Con fecha 31 de enero de 2022 se formuló propuesta de resolución, proponiendo Que por la Directora de la Agencia Española de Protección de Datos se sancione a Working Capital Management España, S.L. con NIF B86878121, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5
- a)del RGPD, una multa de 40.000,00 € (cuarenta mil euros). La parte reclamada presentó alegaciones a la Propuesta de Resolución, en el que se reitera en los argumentos expuestos que, en síntesis, manifiesta: “que ha actuado de forma absolutamente diligente y la base de su tratamiento es absolutamente lícito consistente en el cumplimiento de sus obligaciones contractuales. Al recibir la solicitud por parte del reclamante, la reclamada contactó con NBQ Technology, S.A., para solicitar a esta mercantil que revisade la documentación obrante en su poder de la contratación en cuestión.NBQ Technology, S.A. nunca nos ha comunicado que reconozca que el proceso de contratación en caso del reclamante fue fraudulento, siendo reseñable que la única prueba de ello es la denuncia presentada por el reclamante ante la policía. No obstante, lo anterior, y siguiendo un criterio de prudencia, la reclamada decidió dar verosimilitud a la versión del reclamante y acceder a la supresión de datos solicitada por este y a la cancelación de su préstamo. Cierto es que se excedió en 25 días del plazo para hacerlo, pero ello está justificado por las consultas que debió hacer a la cedente para que revisará la documentación del expediente de contratación. Que la denuncia prestada por el reclamante coincide en el tiempo con la fecha de otorgamiento de la escritura de compraventa de la cartera de créditos. En fecha 23 de diciembre de 2020, adquirió un crédito de titularidad del hoy reclamante. Que esta organización, cumpliendo con lo previsto en el artículo 14 RGPD, remitió comunicación al ahora reclamante, por el que se le informaba de la adquisición del crédito, origen del mismo, y de cómo esta organización trataría a partir de ahora sus datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 Conviene señalar que junto el derecho de supresión se remitió copia de todos los documentos en los que esta organización trata datos de la usuaria: Carta comunicando la cesión del crédito. Contrato de préstamo suscrito con la mercantil NBQ Fund One S.L., junto con cuadro de amortizaciones. Solicita el archivo de las presentes actuaciones o subsidiariamente Apercibimiento, y que se proceda a graduar y atenuar la infracción denunciada según lo dispuesto en los art. 83.2 RGPD, al entender que no se ha producido un tratamiento ilícito de conformidad con el artículo 6 del RGPD”. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. - Consta que sus datos, según afirma la parte reclamante en su reclamación, han sido utilizados para la contratación fraudulenta de un préstamo sin su consentimiento. SEGUNDO. - Consta en la escritura de compraventa y cesión de créditos nº 5120, del protocolo del notario de Barcelona D. B.B.B., otorgada en fecha 23/12/2020, mediante que la parte reclamada (cesionario) adquiere la cartera de créditos a la mercantil NBQ (cedente), de la que forma parte la deuda que se reclama a la parte reclamante. TERCERO. - Se acredita en el certificado emitido por la mercantil Equifax Ibérica, S.L. (entidad gestora del fichero Asnef) de fecha 30 de noviembre de 2021, que el cambio de cartera a favor de la entidad WCM fue llevado a cabo con fecha 23/12/2020. Consta como fecha de alta por NBQ (cedente) 06/02/2020 y por un importe de deuda XXX,XX euros. CUARTO. - En el certificado emitido por Equifax Ibérica, S.L. de fecha 30 de noviembre de 2021, consta que la fecha de baja en el fichero Asnef de la parte reclamante, fue el 25/05/2021. QUINTO. - Consta la denuncia efectuada ante la Dirección General de la Policía, dependencia: Burjasot-Godella, atestado: 5281/20, el 23 de diciembre de 2020, en relación con la suplantación de identidad para la contratación de un préstamo. SEXTO. - Consta la solicitud de supresión dirigida a la parte reclamada de fecha 22 de marzo de 2021 y acuse de recibo del día 30 del mismo mes y año. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD y en los art. 47 y 48.1 de LOPDGDD. II Se imputa a la parte reclamada la comisión de una infracción por vulneración del Artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” La infracción se tipifica en el Artículo 83.5 del RGPD, que considera como tal: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones consideradas muy graves” dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél y, en particular, las siguientes: (…)
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679.” III De conformidad con las evidencias de las que se dispone, se considera que la parte reclamada vulneró el Art. 6.1 del RGPD, toda vez que cuando la parte reclamante tuvo conocimiento de que sus datos personales se encontraban incluidos en el fichero Asnef, se puso en contacto con la parte reclamada, el 22 de marzo de 2021, donde denuncia que ha sido objeto de un fraude en la contratación e interpone denuncia ante la Policía Nacional, y consta entregado dicho envío en la prueba de entrega del servicio de correos el 30 de marzo de 2021 Pues bien, con fecha 23 de diciembre de 2020 el préstamo fue cedido mediante Contrato de Compraventa y Cesión de Cartera a la parte reclamada. Así pues, con fecha 30 de marzo de 2021, tuvo conocimiento de estos hechos, sin embargo, no actuó y siguió tratando los datos de la parte reclamante sin base legitimadora para ello, hasta el 25 de mayo de 2021, fecha en que dio de baja WCM a la parte reclamante en el fichero Asnef, contraviniendo los requisitos recogidos en la LOPDGDD. En relación con las alegaciones efectuadas por la parte reclamada, hay que manifestar que el artículo 20.1
- b)de la LOPDGDD establece: “que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes”. Por lo tanto, podemos considerar que la parte reclamada ha actuado sin la diligencia debida. La diligencia debida es la atención del deber legal de cuidado. Ser debidamente diligente implica, en cuanto a ese deber legal de cuidado, prevenir la materialización del riesgo (la suplantación de identidad) estableciendo con carácter anticipado al tratamiento un sistema eficaz de medidas adecuadas para evitarlo; tal sistema debe ser evaluado de forma constante. Tal y como afirma la jurisprudencia, la responsabilidad deriva de la actuación propia de quien es responsable de ser diligente y “no puede considerarse excluida ni atenuada por el hecho de que haya mediado la posible actuación fraudulenta de un tercero, pues la responsabilidad de la parte actora no deriva de la actuación de éste, sino de la suya propia”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 En consecuencia, la diligencia debida se compone de cuatro elementos: identificar (evaluación del impacto real y potencial de las actividades de tratamiento de datos); prevenir, mitigar (mediante seguimiento y monitoreo) y, por último, rendir cuentas (comunicando la forma en que se hace frente a las consecuencias negativas de los tratamientos indebidos de datos). Y todo ello, dentro de un proceso continuo. La debida diligencia, que debe adecuarse a los entornos empresariales en los que se mueve el responsable del tratamiento, comprende no sólo la adopción de medidas técnicas y organizativas adecuadas al tratamiento de que se trate, sino la capacidad para acreditar su cumplimiento. Por lo tanto, el responsable del tratamiento debe “estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas”, considerando 74 del RGPD. Demostrar la debida diligencia resulta indispensable, no siendo suficiente alegar la ausencia de culpa, pues como afirma la Audiencia Nacional, por todas la Sentencia 278/2015 de 30 de junio de 2015 (Rec. 163/2014), “A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998 , parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005 , y de 23 de octubre de 2010, Rec 1067/2006 , que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa" . En conclusión, para actuar con la debida diligencia, el responsable del tratamiento debe cumplir con el RGPD y la LOPDGDD y establecer anticipadamente mecanismos adecuados para verificar la identidad de las personas cuyos datos personales va a tratar o trata (si es que posteriormente detectase, durante el tratamiento, una suplantación de identidad), para asegurarse, en última instancia, que ostenta legitimación para tratar tales datos personales. De conformidad con las evidencias de las que se dispone se estima que la conducta de la parte reclamada vulnera el artículo 6.1 del RGPD siendo constitutiva de la infracción tipificada en el artículo 83.5.
- a)del citado Reglamento 2016/679. La documentación que obra en el expediente ofrece evidencias de que la parte reclamada, vulneró el artículo 6.1 del RGPD, toda vez que realizó el tratamiento de los datos personales de la parte reclamante sin su consentimiento. Los datos personales de la parte reclamante fueron incorporados a los sistemas de información de la compañía, sin que haya acreditado que dispusiera de su consentimiento para la recogida y el tratamiento posterior de sus datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 Hay que recordar, que cuando la parte reclamante tuvo conocimiento de que sus datos personales se encontraban incluidos en el fichero Asnef, se puso en contacto con la parte reclamada, el 22 de marzo de 2021, donde denuncia que ha sido objeto de un fraude en la contratación e interpone denuncia ante la Policía Nacional, y consta entregado dicho envío a WCM en la prueba de entrega del servicio de correos el 30 de marzo de 2021, sin embargo, no actuó y siguió tratando los datos de la parte reclamante sin base legitimadora para ello. Por lo tanto, podemos considerar que la parte reclamada ha actuado sin la diligencia debida. En este sentido, la Sala de lo Contencioso Administrativo del Tribunal Supremo, en su sentencia de 13 de diciembre de 2021, que confirma la Sentencia de la Audiencia Nacional de 13 de marzo de 2020, señala en relación con una sanción impuesta por contratación fraudulenta derivada de una suplantación de identidad, lo que derivó en la inclusión indebida del interesado en un fichero de morosos, expone “…compartimos el parecer de la Sala de la Audiencia Nacional acerca de la insuficiencia de las medidas aplicadas por la recurrente en el procedimiento de contratación. A las consideraciones que se exponen en la sentencia recurrida, que compartimos y hacemos nuestras, únicamente añadiremos dos observaciones: En primer lugar, las medidas de verificación aplicadas por la recurrente parecen enteramente encaminadas asegurar el buen fin del préstamo, pero, en cambio, se desentienden enteramente del objetivo de verificar la veracidad y exactitud de los datos, y, en particular, de comprobar que quien solicita el crédito es precisamente quien dice ser. De este modo, en cualquier caso en el que un tercero utilice indebidamente un DNI sustraído o extraviado para realizar una compra o solicitar un crédito on line, siempre se consumaría el tratamiento inconsentido de los datos personales del titular del documento, aunque éste hubiese denunciado en su día antelas autoridades la pérdida o sustracción de su DNI, pues ninguna de las medidas enunciadas por la recurrente aparece mínimamente orientada a impedir o dificultar que ese resultado se produzca. En segundo lugar, lo anterior no significa que se haga recaer sobre la empresa contratante la responsabilidad de impedir que se produzca un hecho ilícito o delictivo como es la utilización fraudulenta de un DNI por parte de quien no es su titular. Pero sí es exigible a dicha empresa contratante, como diligencia necesaria para que no se le pueda reprochar el incumplimiento de sus obligaciones en materia de protección de datos de carácter personal -tanto en lo que se refiere a la exigencia de consentimiento del interesado como en lo relativo al principio de veracidad y exactitud de los datos- la implantación de medidas de control tendentes a verificar que la persona que pretende contratar es quien dice ser, esto es, que coincide con el titular del DNI aportado”. El respeto al principio de licitud que está en la esencia del derecho fundamental de protección de datos de carácter personal exige que conste acreditado que la responsable del tratamiento desplegó la diligencia imprescindible para acreditar ese extremo. De no actuar así -y de no exigirlo así esta Agencia, a quien le incumbe velar por el cumplimiento de la normativa reguladora del derecho de protección de datos de carácter personal- el resultado sería vaciar de contenido el principio de licitud. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 La falta de diligencia desplegada por la entidad en el cumplimiento de las obligaciones impuestas por la normativa de protección de datos de carácter personal es, pues, evidente. Un cumplimiento diligente del principio de licitud en el tratamiento de datos de terceros requiere que la responsable del tratamiento esté en condiciones de probarlo (principio de responsabilidad proactiva). IV A tenor de lo dispuesto por el RGPD en su art. 83.1 y 83.2, al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrán en cuenta los factores agravantes y atenuantes que se relacionan en el artículo señalado, así como cualquier otro que pueda resultar aplicable a las circunstancias del caso. “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 de certificación aprobados con arreglo al artículo 42, y
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
- k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión infracción, que no puede imputarse a la entidad absorbente. de la
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de multa a imponer en el presente caso por la infracción tipificada en el artículo 83.5.
- a)del RGPD de la que se responsabiliza al reclamado, se estiman concurrentes los siguientes factores: Como criterios agravantes: - Que los hechos objeto de la reclamación son imputables a una falta de diligencia de la parte reclamada (artículo 83.2.b, RGPD), la reclamada cuando tuvo conocimiento del fraude no actuó y siguió tratando los datos del reclamante - La evidente vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD en relación con el artículo 76.2.b, de la LOPDGDD) El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en su artículo 6 permite fijar una sanción de 40.000 euros (cuarenta mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a WORKING CAPITAL MANAGEMENT ESPAÑA, S.L. con NIF B86878121, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 40.000€ (cuarenta mil euros). SEGUNDO: NOTIFICAR la MANAGEMENT ESPAÑA, S.L. presente resolución a WORKING CAPITAL TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es